Onderzoeker: Hackers zouden elektrische laders kunnen misbruiken om het netwerk te verlammen

Hackers konden kwetsbare laadstations gebruiken om te voorkomen dat ze zouden opladen van elektrische voertuigen in een bepaald gebied, of mogelijk zelfs gebruik maken van de kwetsbaarheden om delen van het elektriciteitsnet te verlammen, zei een beveiligingsonderzoeker tijdens de Hack in the Box-conferentie in Amsterdam op donderdag.

Terwijl elektrische auto's en EV-laadsystemen nog steeds zijn In hun kinderschoenen zouden ze binnen de komende 10 jaar een meer gebruikelijke manier van reizen kunnen worden. Als dat gebeurt, is het belangrijk dat de laadsystemen die in steden over de hele wereld verschijnen, veilig zijn om te voorkomen dat aanvallers toegang hebben tot en zich ermee bemoeien, zei Ofer Shezaf, productmanager beveiligingsoplossingen bij HP ArcSight. Op dit moment zijn ze helemaal niet veilig, zei hij.

Een EV laadstation zoals dit in Amsterdam kan kwetsbaar zijn voor hackers, volgens een beveiligingsonderzoeker van de Hack in the Box-conferentie.

[Meer informatie] lezen: hoe u malware van uw Windows-pc verwijdert]

"In wezen is een laadstation een computer op straat", zei Shezaf. "En het is niet alleen een computer op straat, maar het is ook een netwerk op straat."

Gebruikers willen dat hun auto's zo snel mogelijk worden opgeladen, maar niet alle elektrische auto's kunnen tegelijk worden opgeladen, omdat de aanbieders van opladen stations moeten rekening houden met de lokale en regionale circuitcapaciteit, zei Shezaf. "Daarom hebben we slim laden nodig", zei hij.

Maar door slimme laadsystemen te installeren, moeten de laadstations op straat worden aangesloten, zodat de hoeveelheid energie zo wordt verdeeld dat elektriciteitsnetten niet overbelast raken, hij zei. Maar wanneer laadstations zijn aangesloten, kunnen meerdere laadstations worden misbruikt als een hacker er toegang tot heeft, aldus Shezaf.

De eenvoudigste manier is om fysiek naar de oplaadstations te gaan. "Er zijn systemen op straat en het is heel gemakkelijk om toegang te krijgen tot de computer," zei Shezaf. "Wanneer u bij de apparatuur komt, is reverse-engineering eigenlijk een stuk eenvoudiger dan u denkt."

Hackers konden de systemen uit elkaar halen om componenten te bepalen en de firmware te analyseren en debuggen, zei hij. Door dit te doen kunnen ze mogelijk handige afluisterpunten vinden en coderingssleutels krijgen, aldus Shezaf, die voegde toe dat hij zijn onderzoek op openbare bronnen baseerde, en in de meeste gevallen op documentatie van websites van leveranciers.

Laadstations kunnen worden geconfigureerd door te openen ze, het plaatsen van een handleiding elektrische DIP-switch naar de configuratie-modus, het aansluiten van een Ethernet-cross-kabel en het opstarten van een browser om toegang te krijgen tot de configuratie-omgeving, zei hij. In ten minste één type laadstation vereist dit soort toegang geen authenticatie, vond Shezaf. "Je gaat en opent de doos met een sleutel en dat is de laatste veiligheidsmaatregel die je ontmoet", zei hij.

Sommige laadstations zijn ook verbonden via RS-485 korteafstands-communicatienetwerken die worden gebruikt voor goedkoop lokaal netwerken, zei Shezaf.. Die verbindingen hebben een zeer lage bandbreedte en een hoge latentie, worden vaak gebruikt en hebben geen inherente beveiliging, voegde hij eraan toe.

En hoewel het allemaal afhankelijk is van de toepassing, maken bandbreedte- en latentielimieten van de RS-485-netwerken afluisteren en beheren in-the-middle-aanvallen eenvoudig, volgens Shezaf, die verschillende andere potentiële kwetsbaarheden beschreef tijdens zijn presentatie.

Met behulp van deze methoden konden hackers invloed uitoefenen op het plannen van de lading of het beïnvloeden en stoppen van kosten, zei hij. Als geen enkele elektrische auto een dag kan opladen wanneer 30 procent van alle auto's in een land elektrisch is, kan dit problematisch worden, zei hij. "Als iemand het opladen voor iedereen in een klein gebied kan voorkomen, heb je een grote invloed op het leven. In een groter gebied is het misschien een heel groot probleem, "zei Shezaf.

"Als iemand een manier vindt om het laadsysteem voor slimme auto's te verwarren, kan de denial-of-service niet alleen het laden van auto's treffen, maar ook het elektriciteitssysteem," zei hij.

Hoewel de risico's tegenwoordig klein kunnen zijn, is het tijd om te beginnen het beveiligen van laadsystemen, zei Shezaf. Er zou meer standaardisatie in de heffingssector moeten komen, bij voorkeur met behulp van open standaarden, zei hij. Maar eigenlijk "we hoeven alleen maar meer aandacht te besteden en meer geld te spenderen", zei hij, eraan toevoegend dat er op dit moment te weinig van beide gebeurt.

"We zouden nu niet moeten ontspannen. De problemen worden reëel als elektrische auto's echt worden. Als we niet vandaag beginnen, zal het na tien jaar nog niet veilig zijn, "zei hij.